77
Недостаточно опыта у
персонала заказчика, который
будет эксплуатировать систему
Предоставить заказчику услуги
собственного специалиста для
первоначального
сопровождения системы и
постепенного обучения
персонала заказчика.
Внедрение - увеличение нагрузки на
персонал;
- несогласованность действий
персонала исполнителя и
сотрудников предметных
областей
- проведение обучения
персонала заказчика работы с
системой;
- составление плана внедрения
ИС
Также в процессе использования и сопровождения созданной ИС
возникают:
• технические риски;
• риски персонала.
Причинами технических рисков становятся:
• Ошибки в ПО, вызывающие остановку системы;
• Недоступность реализации требуемых действия, «зависание»
программы;
• Применение вредоносных программ (логические бомбы, вирусы,
трояны, черви, шифровальщики), активированные в корыстных целях внутри
найденных ошибок (дыр) в ПО,
• Перехват данных по сетям связи, воровство данных;
• Неправильная эксплуатация оборудования;
• Проблемы в работе третьего лица (к примеру, провайдера Интернет-
услуг), что влечет за собой недоступность передачи отчетов из филиалов и
контроля работы филиалов;
• Расхождение функциональных возможностей системы текущим
бизнес-процессам в комплекс задач ввиду проведенных реорганизационных
изменений.
Минимизировать данные обстоятельства можно, соблюдая некоторые
моменты:
• Подробное тестирование и выявление ошибок на этапе создания
проекта;
78
• Устранение всех недочетов и ошибок в минимальные сроки силами
прошедших подготовку на этапе внедрения технических специалистов;
• Сам администратор сети обязан следить за безопасностью данных,
применять и вовремя обновлять антивирусное ПО, грамотно настроить FireWall,
разделяющий локальную и внешнюю сеть, давать работникам компании
возможность работы только с той информацией, которая им нужна для
реализации своих служебных обязанностей;
• Разделение клиентского и серверного оборудования, а также
привлечение обученного работе с системой опытного персонала;
• Доступность альтернативных средств выхода в Интернет или
наличие других способов отправки информации;
• Запись и фиксирование всех технических условий, и их
утверждение со всеми основными участниками проекта;
• Обязательное утверждение проведенных изменений.
Факторами реализации риска персонала становится такие обстоятельства,
как:
• Нарушение режима ИБ – есть вариант утечки данных из-за
злоумышленных действий сотрудников и не желании взаимодействовать с новой
системой;
• Не отражен этап выхода их проекта представителей заказчика.
В противовес этому выступает:
• Реализация системы поощрений персонала заказчика,
применяющего систему;
• Прием на работу сотрудников при условии сохранения
коммерческой тайны, в противном случае – использование штрафных или иных
санкций;
• Грамотное планирование сроков проекта и момента завершения
работы над проектом со стороны исполнителя.
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
79
Под защитой информации понимают комплекс организационных,
правовых и технических мер по предотвращению угроз информационной
безопасности и устранению их последствий.
Организация защиты информации в организации – это один из важнейших
моментов, который ни в коем случае нельзя упускать из вида. Последствия будут
очень серьезными, если произойдет утрата баз данных, результатов
аналитических исследований, исходных кодов, программных продуктов. При
плохой организации защиты информации это возможно, что приведет к
достаточно проблематичному дальнейшему ведению бизнеса, а в определенных
случаях невозможным вообще.
Задачи по защите информации возлагаются на службу информационных
технологий.
Далее необходимо разработать ряд нормативно-распорядительных
документов:
1. Концепция обеспечения информационной безопасности
организации.
Концепция определяет основные цели и задачи, а также общую стратегию
построения комплексной системы обеспечения информационной безопасности,
требования и базовые подходы к их реализации, состав критичных
информационных ресурсов и основные принципы их защиты.
Содержание: термины и определения, общие положения, содержание
концепции, описание объекта защиты, основные принципы обеспечения ИБ,
организация работ по обеспечению ИБ, меры обеспечения ИБ, распределение
ответственности и порядок взаимодействия подразделений, порядок
категорирования защищаемой информации, модель нарушителя безопасности,
модель угроз безопасности, требования по обеспечению ИБ, ответственность за
нарушение ИБ, история изменений.
2. Правила работы пользователей в корпоративной сети компании.
Настоящий документ определяет основные правила по обеспечению
информационной безопасности при работе пользователей в корпоративной сети
компании.
80
Содержание: термины и определения, общие положения, общие
требования безопасности, предъявляемые к пользователям корпоративной сети,
нецелевое использование средств обработки информации, предупреждение
распространения компьютерных вирусов, требования по обеспечению
безопасности при работе в сети Интернет и с электронной почтой,
ответственность за обеспечение ИБ.
3. Политика и регламент резервного копирования и восстановления
данных.
Настоящая политика определяет общие требования, основные принципы и
процедуры осуществления резервного копирования информационных ресурсов
компании. Она также устанавливает ответственность должностных лиц службы
безопасности за выполнение и контроль этих процедур.
Содержание: термины и определения, общие сведения, основные
положения, требования к системе резервного копирования, требования по
копированию и восстановлению различных категорий данных, обеспечение
безопасности резервных копий, контроль процедур резервного копирования,
регламент резервного копирования, ответственность
4. План восстановления работоспособности информационной системы
после аварии.
Настоящий план определяет основные меры, методы и средства
сохранения работоспособности информационной системы компании при
возникновении различных аварийных ситуаций, а также порядок работ по
восстановлению процессов обработки информации в случае нарушения
работоспособности информационной системы и ее основных компонентов.
Кроме того, план описывает действия различных категорий персонала
информационной системы в аварийных ситуациях по ликвидации их
последствий и минимизации наносимого ущерба.
Содержание: введение, основные положения, рабочие группы по
ликвидации последствий аварии, технические условия для серверных
помещений, определение приоритетов для прикладных систем, средства
обеспечения непрерывной работы и восстановления, резервный вычислительный
центр, тестирование плана, сопровождение плана.
81
5. Комплексный план защиты информационных ресурсов компании от
несанкционированного доступа.
Назначением настоящего плана является документирование
согласованных решений, а также разработка и подготовка достаточного набора
процедур для предотвращения попыток НСД, реагирования на попытки НСД и
ликвидации последствий НСД.
План определяет мероприятия, которые необходимо проводить на
протяжении всего периода эксплуатации системы в целях предотвращения
попыток НСД и своевременного их обнаружения. План, также, определяет
методы и стратегии реагирования на попытки НСД и процедуры ликвидации
последствий НСД.
Содержание: организация реагирования и предотвращения попыток НСД,
предупреждение попыток НСД, выявление попыток НСД, реагирование на
попытки НСД, ликвидация последствий НСД.
6. Политика обеспечения безопасности удаленного доступа к ресурсам
корпоративной сети компании.
Под удаленным доступом к ресурсам корпоративной сети компании
понимаются все виды доступа, осуществляемые по внешним каналам связи и с
использованием устройств доступа, расположенных за пределами охраняемой
зоны и не контролируемых компании. Основными видами удаленного доступа
являются:
• Доступ к корпоративной сети по коммутируемым каналам связи с
использованием модемов и телефонной сети;
• Доступ мобильных пользователей к корпоративной сети с
использованием VPN каналов связи типа «компьютер-сеть» через сеть Интернет;
• Подключений удаленных подразделений компании к
корпоративной сети с использованием VPN каналов типа сеть-сеть через сеть
Интернет.
Содержание: термины и определения, общие положения, требования по
обеспечению безопасности удаленного доступа, контроль, ответственность.
7. Политика обеспечения безопасности при взаимодействии с сетью
Интернет.
82
Настоящая политика определяет:
• ответственность службы безопасности компании за обеспечение ИБ
при подключении различных участков корпоративной сети к сети Интернет;
• требования к конфигурации средств защиты, включая
маршрутизаторы и МЭ;
• требования к программным системам и оборудованию,
размещаемым в демилитаризованной зоне корпоративной сети;
• порядок осуществления контроля защищенности внешнего
периметра корпоративной сети.
Содержание: термины и определения, общие сведения, назначение,
область действия, основные положения, контроль доступа пользователей к
ресурсам сети Интернет, контроль доступа пользователей сети Интернет к
ресурсам корпоративной сети, требования к настройке внешних
маршрутизаторов, требования к настройке систем, размещаемых в
демилитаризованной зоне, ответственность.
8. Антивирусная политика и инструкция по защите от компьютерных
вирусов.
Настоящий документ определяется систему мер, предпринимаемых
службой безопасности компании, направленных на защиту компьютеров,
входящих в состав корпоративной сети компании от компьютерных вирусов,
троянских программ и прочих деструктивных программных кодов, а также
устанавливает требования к конфигурации комплексной системы антивирусной
защиты корпоративной сети и мероприятия, обеспечивающие поддержание этой
системы в работоспособном состоянии.
Содержание: общие сведения, основные положения, структура и состав
средств антивирусной защиты, требования к конфигурации средств
антивирусной защиты, контроль функционирования системы антивирусной
защиты, ответственность.
9. Политика выбора и использования паролей и ключей.
Настоящая политика устанавливает требования к порядку выбора,
хранения, использования, периодичности смены и другим вопросам, связанным
83
с применением механизмов парольной аутентификации в информационных
системах компании.
Содержание: термины и определения, общие сведения, основные
положения, правила выбора паролей, обеспечение конфиденциальности паролей,
контроль, ответственность.
10. Правила предоставления доступа к ресурсам корпоративной сети.
Правила определяют:
• порядок предоставления сотрудникам доступа к ресурсам
корпоративной сети компании;
• порядок отмены доступа;
• порядок изменения прав доступа;
• требования, предъявляемые к сотрудникам компании в связи с
предоставлением им доступа к ресурсам корпоративной сети;
• порядок осуществления контроля доступа;
• ответственность сотрудников компании.
Содержание: термины и определения, общие сведения, назначение,
область действия, основные положения, порядок предоставления доступа к
ресурсам корпоративной сети, порядок отмены доступа к ресурсам
корпоративной сети, порядок изменения прав доступа к ресурсам корпоративной
сети, контроль, ответственность.
11. Политика аудита информационной безопасности.
Политика аудита информационной безопасности определяет:
• нормативную базу для деятельности внутренних и внешних
аудиторов;
• полномочия внешних и внутренних аудиторов;
• ответственность аудиторов за обеспечение ИБ и нормального
режима функционирования информационных систем компании;
• порядок и условия проведения аудита ИБ и анализа рисков.
Процедура внутреннего аудита информационной безопасности описывает
процесс сбора и анализа информации, необходимой для оценки уровня
информационной безопасности компании при проведении внутреннего аудита.
Данная процедура позволяет оценить адекватность реализованных в
84
информационных системах механизмов безопасности, соответствие системы
обеспечения ИБ бизнес требованиям, требованиям политики безопасности и
законодательства.
Содержание: термины и определения, общие сведения, основные
положения, порядок и условия проведения аудита в компании, анализ и
управление рисками, ответственность.
12. Соглашение о соблюдении режима информационной безопасности,
заключаемое со сторонними организациями.
Настоящее соглашение заключается с целью обеспечения безопасности
информационных ресурсов компании, доступ к которым предоставляется
партнеру на период действия соглашения. По настоящему соглашению партнер
обязуется сохранять в тайне и не разглашать информацию, составляющую
служебную и/или коммерческую тайну компании, а также обеспечить
выполнение требований по защите информации от НСД, компьютерных вирусов
и прочих угроз, связанных с нарушением доступности или целостности
информационных ресурсов компании.
Содержание: общие положения, предмет соглашения, права и обязанности
сторон, хранение документов, ответственность сторон, срок действия
соглашения, разрешение споров.
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель представляет собой схему движения входных,
промежуточных и результативных потоков и функций предметной области.
Рисунок информационной модели приведен на рисунке 2.4.
85
Рисунок 2.4 Информационная модель системы учета ремонта оборудования
Заполнение справочников происходит при первом запуске системы, далее
они только редактируются. При использовании основных справочников
происходит учет продаж, в ходе которого записывается информация в таблицу
Продажи. Отчетные документы формируется в виде экранных форм на
основании выбора форм сортировки и могут быть выведены на печать или
экспортированы в формат *.xls.
2.2.2 Характеристика нормативно-справочной, входной и
оперативной информации
Под входной информацией понимается вся информация, необходимая для
решения задачи и расположенная на различных носителях: первичных
документах, машинных носителях, в памяти персонального компьютера. С этой
целью составляются перечень входной информации и состав реквизитов каждого
86
вида входной информации, расположение реквизитов входной информации,
описание полей (реквизитов) входных документов.
Значительное место в автоматизированной системе учета занимает
нормативно-справочная информация. Нормативно-справочная информация —
это условно‒постоянная составляющая общей корпоративной информации, она
используется при регламентации деятельности компании, обеспечивая
целостность данных, сопровождающих бизнес-процессы компании.
По назначению нормативно-справочная информация используется для:
идентификации единиц информации;
информационно-поисковых целей;
формирования характеристик объектов учета;
обеспечения информационных взаимосвязей и расчетов.
Другими словами, нормативно-справочная информация — это ядро
единого информационного пространства организации, включающее в себя набор
справочников, словарей, классификаторов, стандартов, регламентов,
используемых в деятельности организации.
В системе используется следующая входная информация:
Список сотрудников компании;
Список моделей оборудования;
Список брендов оборудования;
Список запчастей с указанием их стоимости;
Список дефектов (неисправностей оборудования) с указанием
стоимости.
Данная информация применяется для первичного заполнения
справочников системы. В ходе дальнейшей работы осуществляется регистрация
клиентов, ремонтируемых оборудования, а также заказов. Для хранения этой
информации используются Таблицы Клиенты, Оборудование, Заказы.
В ходе работы программы осуществляется также редактирование заказов.
Для обеспечения работы системы предусмотрены справочники,
приведенные в Таблице 2.2.
Таблица 2.2
Перечень используемых справочников